چرا حمله به زیرساخت مشترک می‌تواند خدمات چند بانک را هم‌زمان مختل کند؟

حمله سایبری به زیرساخت ارتباطی چهار بانک ایرانی چه پیامدهایی داشت؟ بررسی اختلال خدمات بانکی، وضعیت اطلاعات مشتریان و پرسش‌های فنی بی‌پاسخ را در ادامه بخوانید.

نویسنده:

بهراد یوسفی

اختلال خدمات بانکی در خرداد ۱۴۰۵، بانک‌های ملی، صادرات، تجارت و توسعه صادرات را درگیر کرد. مقام‌های رسمی منشأ این اختلال را حمله سایبری به زیرساخت ارتباطی مشترک اعلام کردند و گفتند اطلاعات مشتریان آسیب ندیده است. اما این حادثه پرسش مهم‌تری را مطرح می‌کند: وقتی چند بانک به زیرساخت‌های مشترک وابسته‌اند، اختلال در یک بخش چگونه می‌تواند به مشتریان چند بانک سرایت کند و برای ارزیابی امنیت اطلاعات، چه شواهدی در اختیار عموم قرار گرفته است؟

ماجرای حمله سایبری به بانک‌های ایران چه بود؟

از ۲۳ خرداد ۱۴۰۵، بخشی از خدمات بانکی چهار بانک ملی، صادرات، تجارت و توسعه صادرات با اختلال مواجه شد. در روزهای ابتدایی، مشتریان با محدودیت در دسترسی به برخی خدمات الکترونیکی و کارت‌محور روبه‌رو شدند؛ اختلالی که به‌تدریج به یکی از مسائل مهم شبکه بانکی کشور تبدیل شد.شورای هماهنگی بانک‌ها در اطلاعیه اولیه خود اعلام کرد این اختلال ناشی از یک حمله سایبری محدود بوده است. بانک مرکزی نیز در اطلاعیه ۲۹ خرداد، حمله به زیرساخت ارتباطی این چهار بانک را عامل اختلال معرفی کرد و از بازگشت خدمات پایه مبتنی بر کارت با استفاده از روش‌های جایگزین خبر داد. در توضیحات رسمی، محدودسازی موقت برخی خدمات با هدف حفاظت از اطلاعات مشتریان و جلوگیری از آسیب‌های بیشتر توصیف شد. به بیان دیگر، بخشی از اختلال خدمات بانکی بنا بر اعلام مسئولان، نتیجه اقدام‌های حفاظتی پس از شناسایی حمله بود؛ نه لزوماً نشانه‌ای از دسترسی مهاجمان به حساب‌های مشتریان. با این حال، بازگشت بخشی از خدمات به معنای روشن‌شدن تمام ابعاد فنی حادثه نیست. گزارش‌های منتشرشده در هفته‌های بعد نیز نشان دادند که میان اعلام رفع اختلال و بازگشت کامل برخی خدمات، فاصله وجود داشته است.

چرا اختلال در زیرساخت مشترک چند بانک را هم‌زمان درگیر می‌کند؟

شبکه بانکی فقط از سامانه‌های مستقل هر بانک تشکیل نشده است. ارائه خدمات بانکی به مجموعه‌ای از زیرساخت‌های ارتباطی، سامانه‌های پردازش تراکنش، مراکز داده و سرویس‌های مشترک وابسته است. برخی از این اجزا ممکن است توسط یک ارائه‌دهنده خدمات به چند بانک عرضه شوند. این وابستگی می‌تواند مزایایی مانند یکپارچگی خدمات، مدیریت متمرکز و کاهش هزینه‌های عملیاتی داشته باشد؛ اما در مقابل، یک نقطه حساس مشترک ایجاد می‌کند. اگر این نقطه دچار اختلال شود، پیامد آن ممکن است به چند بانک و طیف گسترده‌ای از خدمات منتقل شود. برای مثال، اگر یک سرویس مشترک مسئول پردازش یا انتقال اطلاعات موردنیاز تراکنش‌های کارتی باشد، اختلال در آن می‌تواند بر عملکرد خودپردازها، پایانه‌های فروش یا خدماتی که به همان زیرساخت وابسته‌اند اثر بگذارد. البته اینکه کدام سرویس‌ها واقعاً تحت تأثیر قرار می‌گیرند، به معماری شبکه و دامنه حادثه بستگی دارد. این مسئله با اختلال در یک برنامه همراه‌بانک تفاوت دارد. در اختلال یک برنامه، ممکن است مشکل به همان نرم‌افزار یا سرور مربوط باشد؛ اما آسیب‌دیدن یک جزء زیرساختی مشترک می‌تواند چندین خدمت وابسته را هم‌زمان تحت تأثیر قرار دهد. با این حال، نباید از وقوع اختلال هم‌زمان نتیجه گرفت که تمام بانک‌ها از یک سامانه واحد استفاده می‌کنند یا همه زیرساخت‌های آن‌ها آسیب دیده است. برای چنین نتیجه‌ای، به اطلاعات دقیق‌تری از معماری شبکه و گزارش فنی حادثه نیاز داریم.

آیا اطلاعات مشتریان بانک‌ها افشا شد؟

بانک مرکزی در اطلاعیه ۲۹ خرداد اعلام کرد که اطلاعات مشتریان چهار بانک آسیب ندیده، اطلاعات در دسترس بوده و دسترسی غیرمجاز به آن‌ها رخ نداده است. شورای هماهنگی بانک‌ها نیز در اطلاعیه اولیه خود از نبود نشت اطلاعاتی خبر داده بود. این اظهارات، موضع رسمی نهادهای مسئول درباره وضعیت اطلاعات مشتریان است. با این حال، از منظر امنیت سایبری باید میان چند موضوع تفاوت گذاشت: اختلال در دسترس‌پذیری خدمات، دسترسی غیرمجاز به سامانه‌ها و افشای اطلاعات. یک حمله می‌تواند دسترس‌پذیری سرویس را مختل کند، بدون آنکه لزوماً به افشای داده‌ها منجر شود. از سوی دیگر، بازگشت سرویس به وضعیت عادی به‌تنهایی ثابت نمی‌کند که هیچ دسترسی غیرمجازی رخ نداده است. ارزیابی این موضوع به بررسی گزارش‌های ثبت رخداد، سوابق دسترسی، یکپارچگی داده‌ها و نتایج تحقیقات فنی وابسته است. در منابع عمومی بررسی‌شده، گزارش فنی مستقلی که جزئیات روش بررسی داده‌ها، دامنه سامانه‌های ارزیابی‌شده و شواهد تأییدکننده نتیجه را تشریح کند، در دسترس نیست. بنابراین، نه می‌توان ادعای نشت اطلاعات را بدون شواهد مطرح کرد و نه باید اظهارات رسمی را معادل انتشار یک گزارش فنی قابل ارزیابی مستقل دانست.

آنچه فعلاً می‌توان گفت این است که مقام‌های مسئول، وقوع نشت اطلاعات و دسترسی غیرمجاز به داده‌های مشتریان را رد کرده‌اند؛ اما جزئیات عمومی کافی برای ارزیابی مستقل این نتیجه منتشر نشده است.

چه چیزهایی درباره حمله هنوز روشن نیست؟

با وجود تأیید رسمی وقوع حمله سایبری، چند پرسش فنی مهم در گزارش‌های عمومی بی‌پاسخ مانده‌اند:

۱. مهاجمان از چه مسیری وارد شدند؟

اطلاعات عمومی موجود، جزئیات مستندی از مسیر اولیه نفوذ، آسیب‌پذیری احتمالی، حساب کاربری مورد سوءاستفاده یا ابزارهای به‌کاررفته ارائه نمی‌کند. در نتیجه، نمی‌توان نوع دقیق حمله را مشخص کرد.

۲. کدام بخش از زیرساخت هدف قرار گرفت؟

مقام‌های مسئول از حمله به زیرساخت ارتباطی یا زیرساخت‌های مرتبط با خدمات کارت‌محور صحبت کرده‌اند. اما بدون گزارش فنی تفصیلی، تعیین دقیق سامانه آسیب‌دیده و دامنه نفوذ ممکن نیست.

۳. چه کسی مسئول حمله بود؟

در اطلاعات عمومی بررسی‌شده، انتساب فنی مستندی که عامل حمله را مشخص کند، ارائه نشده است. نسبت‌دادن حمله به یک کشور یا گروه هکری، بدون شواهد قابل ارزیابی، فراتر از اطلاعات تأییدشده خواهد بود.

۴. اقدامات اصلاحی چه بوده‌اند؟

استفاده از روش‌های جایگزین برای بازگرداندن خدمات اعلام شده است؛ اما جزئیات کافی درباره علت ریشه‌ای حادثه، اصلاح ضعف‌های احتمالی و اقدام‌های بلندمدت برای جلوگیری از تکرار آن در دسترس عموم قرار نگرفته است.

این حادثه چه درسی برای امنیت شبکه بانکی دارد؟

مهم‌ترین درس این حادثه، ضرورت توجه به تاب‌آوری زیرساخت‌های مشترک است. امنیت شبکه بانکی فقط به محافظت از سرورها یا سامانه‌های اختصاصی هر بانک محدود نمی‌شود؛ سرویس‌های مشترکی که چند بانک برای ارائه خدمات به آن‌ها وابسته‌اند نیز باید در مرکز برنامه‌ریزی امنیتی قرار بگیرند. از منظر فنی، جداسازی مناسب بخش‌های شبکه، محدودکردن سطح دسترسی، پایش متمرکز رخدادها، ثبت و نگهداری لاگ‌ها، آزمودن برنامه‌های بازیابی و طراحی مسیرهای جایگزین می‌توانند دامنه اثر یک اختلال را کاهش دهند. مسیر جایگزین نیز زمانی واقعاً مؤثر است که مستقل از بخش آسیب‌دیده باشد و در شرایط بحران قبلاً آزمایش شده باشد. از سوی دیگر، مدیریت حادثه فقط به بازگرداندن سرویس ختم نمی‌شود. پس از مهار حمله، بررسی علت ریشه‌ای، ارزیابی احتمال دسترسی غیرمجاز، مستندسازی اقدام‌های اصلاحی و انتشار گزارش متناسب با ملاحظات امنیتی، برای افزایش اعتماد عمومی اهمیت دارد. مشتریان نیز باید میان اختلال بانکی و سرقت اطلاعات تمایز قائل شوند. در زمان بروز اختلال، دریافت‌نشدن خدمات به‌تنهایی نشانه خالی‌شدن حساب یا افشای اطلاعات نیست. در عین حال، هر پیام یا تماس مشکوکی که به بهانه اختلال بانکی درخواست رمز پویا، رمز کارت یا اطلاعات ورود کند، باید با احتیاط جدی بررسی شود.

جمع‌بندی: تأیید حمله، پایان پرسش‌های فنی نیست

اختلال خرداد ۱۴۰۵ نشان داد که حادثه‌ای در زیرساخت مرتبط با چند بانک می‌تواند فراتر از یک سامانه منفرد اثر بگذارد و دسترسی روزمره مشتریان به خدمات مالی را مختل کند. وقوع حمله سایبری به زیرساخت ارتباطی بانک‌های درگیر از سوی مقام‌های رسمی تأیید شده است. همچنین مسئولان اعلام کرده‌اند که اطلاعات مشتریان افشا نشده و دسترسی غیرمجاز به آن‌ها رخ نداده است. با این حال، جزئیات فنی عمومی برای ارزیابی مستقل مسیر حمله، دامنه دقیق اثر و نحوه تأیید سلامت داده‌ها کافی نیست. در چنین حوادثی، شفافیت فنی متناسب با ملاحظات امنیتی اهمیت دارد؛ زیرا بازگشت خدمات، تنها یکی از شاخص‌های پایان حادثه است. ارزیابی میزان تاب‌آوری شبکه بانکی و اطمینان از سلامت داده‌ها، به پاسخ روشن درباره علت ریشه‌ای، دامنه اثر و اقدام‌های اصلاحی نیز نیاز دارد.